Seu fornecedor pode colocar sua empresa em risco perante a ANPD

Sua empresa estruturou um programa de proteção de dados, revisou contratos, atualizou políticas, aplicou uma série de treinamentos internos. O ambiente interno está “nos conformes”.

Mas o que os seus fornecedores estão fazendo com os dados que você entrega a eles? Como que o que é feito por eles, fora da sua empresa, pode te colocar em risco?

A pergunta ganha ainda mais relevância após a ANPD aplicar uma multa de R$ 153,7 milhões à ByteDance, controladora do TikTok, por irregularidades no tratamento de dados pessoais de crianças e adolescentes.

Entre as conclusões da investigação da Agência, veio a conclusão de os mecanismos adotados pela empresa não foram suficientes para evitar o tratamento inadequado dos dados desde a origem. A ANPD também destacou a ausência de evidências concretas da efetividade das medidas técnicas e organizacionais adotadas para garantir a conformidade com a LGPD.

O caso reforça uma questão que muitas empresas ainda tratam sem o zelo que a temática pede: contratar um fornecedor não significa transferir para ele a responsabilidade pelo risco.

Sistemas de RH, plataformas de marketing, empresas de tecnologia, serviços de armazenamento em nuvem, ferramentas de atendimento, sistemas de CRM e inúmeros outros fornecedores têm acesso diário a dados pessoais da sua empresa.

E se esses terceiros não possuem Programa de Tratamento de Dados adequado? O risco não desaparece porque o tratamento foi terceirizado.

Por isso, um Programa de Privacidade efetivo não termina na revisão dos processos internos. Ele precisa alcançar a cadeia de tratamento de dados.

Antes de contratar, é necessário avaliar. Durante o contrato, é necessário acompanhar. E, quando a relação termina, é necessário saber o que acontece com os dados.

Quais informações o fornecedor acessa? Para qual finalidade? Onde estão armazenadas? Quem pode acessá-las? Existem medidas de segurança adequadas? O fornecedor utiliza outros subcontratados? Como responde a incidentes? Existem mecanismos para eliminação ou devolução dos dados? A empresa consegue comprovar que essas obrigações estão sendo cumpridas?

Colocar uma cláusula de proteção de dados no contrato é importante. Mas não é suficiente.

É preciso transformar a contratação de fornecedores em parte da governança de privacidade da empresa, com critérios de avaliação, classificação de riscos, obrigações contratuais, acompanhamento e revisão periódica.

Na Data Protection Brasil, atuamos como DPO terceirizado, acompanhando continuamente a conformidade da empresa com a LGPD e identificando riscos relacionados ao tratamento de dados. Essa atuação inclui a avaliação de fornecedores e terceiros que têm acesso a dados pessoais, com análise de suas práticas, responsabilidades, medidas de segurança e adequação contratual.

Fernanda Gonçalves

Advogada | Data Protection Brasil